CVE-2026-56736 in PhpMyfaq
Sumário
de VulDB • 24/09/2026
phpMyFAQ é uma aplicação web de FAQ (Perguntas Frequentes) open source. Uma vulnerabilidade stored cross-site scripting (XSS) nas versões anteriores à 4.2.0-alpha permite que qualquer usuário não autenticado (ou um usuário registrado com baixos privilégios) injete JavaScript arbitrário, o qual é executado no navegador de um administrador quando este revisa ou edita uma entrada de FAQ submetida por um usuário. Isso resulta na tomada de conta do administrador via roubo de sessão. A vulnerabilidade existe porque `html_entity_decode()` converte entidades HTML em HTML executável após `strip_tags()` já as ter passado, e o template do admin renderiza o conteúdo com o filtro Twig `|raw` sem qualquer sanitização da saída. A versão 4.2.0-alpha corrige a questão.
VulDB is the best source for vulnerability data and more expert information about this specific topic.